CVE-2025-60375 — PerfexCRM प्रमाणीकरण बायपास

सलाहकार आईडी: perfexcrm-auth-bypass-2025
CVE: CVE-2025-60375
उत्पाद: PerfexCRM
प्रभावित संस्करण: 3.3.1 से पहले के संस्करण (< 3.3.1)
रिपोर्टकर्ता: Ajansha Shankar, Ahamed Yaseen
संदर्भ: OWASP प्रमाणीकरण चीट शीट — https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html

---

सारांश

PerfexCRM के 3.3.1 से पहले के संस्करणों में एडमिन लॉगिन तंत्र में एक प्रमाणीकरण बायपास मौजूद है। सर्वर की प्रमाणीकरण कार्यप्रणाली उपयोगकर्ता-नाम/पासवर्ड पैरामीटर की उपस्थिति और सामग्री को पर्याप्त रूप से सत्यापित नहीं करती है। एक हमलावर जो लॉगिन अनुरोध में हेरफेर करके खाली उपयोगकर्ता-नाम और पासवर्ड पैरामीटर प्रदान करता है, उसे उपयोगकर्ता खातों, जिसमें प्रशासनिक खाते भी शामिल हैं, तक पहुंच प्रदान की जा सकती है।

---

प्रभाव

• उपयोगकर्ता खातों (एडमिन सहित) तक अनधिकृत पहुंच।
• एप्लिकेशन का संभावित पूर्ण समझौता और संवेदनशील डेटा का जोखिम।
• दूरस्थ शोषण — हमलावर को केवल लॉगिन एंडपॉइंट पर HTTP अनुरोध भेजने की क्षमता की आवश्यकता होती है।

---

तकनीकी विवरण और पुनरुत्पादन

1. एडमिन लॉगिन एंडपॉइंट (जैसे, /admin/auth/login) पर भेजे गए POST अनुरोध को इंटरसेप्ट करें।